主页 / server / 问题 / 1000279
Accepted
beard black
Asked: 2020-01-25 08:21:19 +0800 CST

本地 webapplication 的反向代理，iptables 必须打开哪个端口？

  • 772

我想为我的 tomcat 应用程序使用反向代理（nginx 或 apache）。我想将端口 80,443 从反向代理重定向到 tomcat 端口 8080、8443。设置反向代理后，必须为入站和出站打开哪个端口？

那正确吗 ？iptables inbound : 打开端口 80, 443 iptables outbound: 打开端口 8080,8443

亲切的问候

黑胡子

linux networking port iptables reverse-proxy

1 个回答

  1. Best Answer

    TCP连接总是在两个（而不是更多）参与者之间。每一个都用一个 IP 地址和一个端口来标识。所以实际上，当您使用反向代理时，您有：

    • 客户端<client_IP>:<random_port>和nginx <server_public_IP>:80之间通过物理接口的连接。
    • 通过环回接口连接nginx 127.0.0.1:80和Tomcat 。127.0.0.1:8080

    防火墙没有理由阻止环回接口上的通信。因此，您可能希望允许使用目标端口的传入流量80和使用源端口443的出站流量和.80443

    但是，通常，出站流量不会被阻止（策略ACCEPT），您只需要以下 iptables 规则：

    iptables -A INPUT -i lo -j ACCEPT # loopback interface
# don't block existing traffic
iptables -A INPUT -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT
iptables -A INPUT -p tcp -m multiport --dports 80,443 -m comment nginx -j ACCEPT
# Probably you want to allow ssh
iptables -A INPUT -p tcp --dport 22 -m comment SSH -j ACCEPT
iptables -P INPUT DROP
iptables -P OUTPUT ACCEPT

    PS：您也可以直接在端口上运行Tomcat80 ，并443使用相同的防火墙规则。

    • 1

相关问题